スキャッタード・スパイダーのハッカー2人が実刑判決、英国史上最大規模のサイバー犯罪訴訟に

サイバー犯罪集団「スキャッタード・スパイダー」の主要メンバーとされる2人が、2024年に発生したロンドン交通局(TfL)へのサイバー攻撃への関与により、それぞれ懲役5年6ヶ月の判決を言い渡されました。

ComputerSecurity

英国家犯罪対策庁(NCA)は、本件を英国史上最大規模のサイバー犯罪訴訟と位置付けています。ロンドン東部出身のタルハ・ジュベア被告(20歳)と、ウェストミッドランズ州ウォルソール出身のオーウェン・フラワーズ被告(18歳)は、コンピュータ不正使用法第3ZA条のもとで有罪を認めました。同条は、深刻な被害を引き起こす、あるいはその重大なリスクを生じさせる不正行為を対象とする、同法の中で最も重い罪に問われる規定です。

実刑判決を受けたスキャッタード・スパイダーのハッカー2人

侵入は2024年8月31日から9月3日にかけて発生し、TfLの企業内システムおよび複数の一般向けサービスに影響が及びました。

NCAの報告によれば、この攻撃により広範な業務停止が発生し、TfLの全従業員27,000人がパスワードリセットのために出社を余儀なくされました。

合計148のシステムが利用不能となり、その中には手動での代替対応が必要な重要システムも含まれていたため、ロンドン市民が利用する複数のサービスに支障が生じました。

影響を受けたサービスには、交通弱者向けの配車予約サービス「Dial-a-Ride」、割引乗車券サービス、デジタル決済チャネル、Oysterカードの払い戻し機能、子供・若者向けOysterフォトカードの申請などが含まれます。

TfLは、直接的な損失と復旧費用を合わせて約2,900万ポンドと見積もっています。当局は、迅速な封じ込め対応がなければ、被害はさらに深刻化していた可能性があると述べています。

もし攻撃者がロンドンの交通インフラの掌握に成功していた場合、英国経済への影響額は最大560億ポンドに達していたと推定されています。

捜査当局は、TfLのOyster払い戻しシステムに関連するデータへのアクセスがあったことを確認しており、顧客への払い戻し処理の遅延という形で影響が生じました。

2024年9月6日、NCAとロンドン市警察は、米国の医療機関であるSSM Health Care CorporationおよびSutter Healthのシステムへの侵入を試みていたとされるフラワーズ被告を逮捕しました。

その後の自宅捜索では、ノートパソコン、デスクトップパソコン、ストレージデバイス、USBドライブなどが押収されました。

押収されたノートパソコンの1台には、TfLのインフラへのネットワーク接続を示すスクリーンショットや、攻撃中にジュベア被告がTfLのシステムにアクセスする様子を記録した映像が含まれていたとされています。捜査当局によれば、2人は侵入行為の最中、Telegramと共有のオンライン共同作業プラットフォームを通じて連絡を取り合っていました。

両容疑者は2024年9月16日に再逮捕されました。フラワーズ被告は、デバイス使用に関する保釈条件違反についても追加で起訴されました。

一方ジュベア被告は、押収されたデバイスのPINコードやパスワードの開示を拒否したとして起訴されました。両被告は、ウーリッジ・クラウン・コートでの裁判開始予定日であった6月22日に一転して有罪を認め、7月16日に判決を受けました。

法執行当局は、ジュベア被告とフラワーズ被告をスキャッタード・スパイダーの中心的なメンバーと位置付けています。マイクロソフトも独自の分析として、今回の逮捕により同集団のサイバー犯罪活動を実行する能力が大きく損なわれたとの見解を示しました。

スキャッタード・スパイダーは、巧妙なソーシャルエンジニアリング工作、SIMスワッピング、データ恐喝、大手組織を狙った標的型侵入を行うことで知られています。

ComputerScience

本件は、たとえ攻撃者が重要インフラを完全に停止させるまでに至らなくても、アイデンティティを狙った攻撃が業務面・financial面で甚大なリスクをもたらし得ることを浮き彫りにしています。

NCAの国家サイバー犯罪ユニット責任者を務めるポール・フォスター氏は、TfLが早期に捜査へ協力したことが本件の解決に不可欠であったと述べ、他の被害組織に対しても、侵入被害を速やかに報告するよう呼びかけました。

英国当局は現在、「サイバー犯罪リスク命令(Cyber Crime Risk Orders)」の導入も進めています。これは、犯罪者が使用するデバイス、オンラインサービス、各種技術に対して裁判所の監督下で制限を課し、サイバー犯罪の再犯リスクを低減させることを目的とした制度です。

 脅威検知と迅速な調査を加速し、SOCを強化しましょう。 -> ANY.RUNを貴社のSOCに統合する はこちら。